Однако предприятия, которые обрабатывают защищенную медицинскую информацию (PHI), должны внедрять и соблюдать физические, сетевые и процедурные меры безопасности. Эта статья поможет вам понять, что означает соответствие HIPAA, контрольный список и формы для соответствия, как работает масштабирование, а также как получить сертификат и способ передачи.
HIPAA Соблюдение
Закон о переносимости и подотчетности медицинского страхования (HIPAA) — это федеральный закон, принятый для защиты медицинских записей и информации отдельных лиц. Соответствие требованиям HIPAA — это образ жизни для предприятий здравоохранения, направленный на обеспечение конфиденциальности, конфиденциальности и целостности защищенной медицинской информации.
Соответствие HIPAA является золотым стандартом защиты конфиденциальных данных пациентов. Следовательно, чтобы соответствовать HIPAA, фирмы, которые обрабатывают защищенную медицинскую информацию (PHI), должны внедрять и поддерживать физические, сетевые и процедурные меры безопасности. Соответствие требованиям HIPAA также требуется от подпадающих под действие организаций (тех, которые обеспечивают лечение, оплату или операции) и деловых партнеров (тех, кто имеет доступ к информации о пациентах и помогает с лечением, оплатой или операциями). Субподрядчики и любые другие деловые партнеры, например, должны придерживаться тех же стандартов.
Контрольный список соответствия HIPAA
Ниже приведен контрольный список соответствия требованиям HIPAA, который поможет вашему предприятию соблюдать правила HIPAA.
№1. Аудиты и оценки
Чтобы поддерживать безопасность данных, внутренние аудиты, оценки безопасности, а также аудиты конфиденциальности в контрольном списке соответствия HIPAA, необходимо проводить на регулярной основе:
- Определите, какие обязательные ежегодные аудиты и оценки согласно правилу HIPAA SP 800-66, редакция 1 применяются к вашей организации, используя NIST.
- Проведите необходимые аудиты и оценки, проанализируйте результаты и задокументируйте любые ошибки или недостатки.
- Создавайте и документируйте подробные планы ремонта для устранения таких дефектов и недостатков.
- Выполняйте планы, анализируйте результаты и при необходимости корректируйте план, если желаемые результаты не достигнуты.
№ 2. Оценка риска
Чтобы проводить регулярные оценки рисков в контрольном списке соответствия HIPAA в соответствии с рекомендациями NIST, примите во внимание следующее:
- Оценивайте риск, связанный с каждым объектом независимо.
- Провести оценку рисков для электронных систем хранения медицинской информации (ePHI).
- Создайте и внедрите политику управления рисками.
- Оцените вероятность и влияние потенциальных проблем ePHI.
- Примите соответствующие меры безопасности для определенных конфиденциальных документов и опасностей.
- Установите лучшие практики и требования к обслуживанию для обеспечения безопасности.
№3. Политики и процедуры
Убедитесь, что ваши политики и процедуры соответствуют правилу конфиденциальности HIPAA, правилу безопасности HIPAA и правилу уведомления о нарушениях HIPAA. Ежегодные оценки должны документироваться. Убедиться, что разработано и реализовано следующее:
- Политики и процедуры конфиденциальности касаются таких вопросов, как политика и практика использования данных, регулярное и нерегулярное раскрытие информации, ограничение запросов на предоставление конфиденциальных данных и связанные с этим проблемы.
- Правила для деловых партнеров. В контрольном списке соответствия убедитесь, что существующие контракты и соглашения соответствуют правилам HIPAA, изменив их. Получите адекватные гарантии контракта и ведите учет штрафов за несоблюдение.
- Процедуры и сроки ответа на запросы о доступе и жалобы на конфиденциальность. Получите письменное разрешение от пациентов, прежде чем использовать или раскрывать PHI для лечения, оплаты или медицинских операций.
№ 4. Защита данных
Кроме того, при подтверждении контрольного списка соответствия HIPAA вам необходимо использовать средства защиты данных, чтобы обеспечить целостность, доступность и конфиденциальность ваших данных.
1. Технические меры безопасности
- Контроль целостности и аудит. Контроль целостности помогает обеспечить точность и высокое качество данных. Настройте методы аудита для отслеживания доступа к файлам и их изменения, а также для уведомления о любом ненормальном поведении.
- Шифровать защищенную электронным способом медицинскую информацию (ePHI) перед передачей через Интернет в соответствии с NIST правила шифрования.
- Контроль доступа, авторизации и проверки подлинности: Убедитесь, что только авторизованные лица имеют доступ к конфиденциальным электронным записям. Пароли и другие коды безопасности должны храниться в тайне.
2. Физические барьеры
- Прежде чем резать важные бумаги, уничтожьте их.
- Защищенные рабочие станции. Ограничьте доступ к ePHI определенными рабочими станциями. Установите политики, регулирующие использование этих рабочих станций.
- Установите протоколы для удаления ePHI с устройства в случае его утери или кражи, или если владелец устройства уходит из бизнеса, если к устройству можно получить доступ через мобильные устройства.
3. Административные гарантии
Осведомленность о безопасности и обучение сотрудников. Сотрудники должны быть осведомлены об управлении доступом к ePHI и передовых методах кибербезопасности, например о том, как обнаруживать вредоносное ПО и сообщать о нем.
Создайте план обеспечения целостности и безопасности ePHI в случае чрезвычайной ситуации.
№ 5. Общение и обучение сотрудников
Согласно контрольному списку, весь персонал должен пройти соответствующее обучение по кибербезопасности, а члены команды должны быть проинформированы о важности соответствия требованиям HIPAA:
- Весь персонал должен быть ознакомлен с политиками и процедурами организации в отношении конфиденциальности.
- Убедитесь, что все члены команды ознакомились и согласились с установленными вами политиками и процедурами HIPAA.
- Убедитесь, что все сотрудники прошли базовое обучение по соблюдению требований HIPAA.
- Должна сохраняться документация по всем тренингам по соблюдению требований HIPAA и аттестации персонала по правилам и процедурам HIPAA.
- Разработайте последствия и дисциплинарные правила и процессы в случае нарушения конфиденциальности.
№ 6. Создан офис уполномоченного по вопросам конфиденциальности.
Возложить на конкретное лицо или офис ответственность за вопросы конфиденциальности:
- Назначьте кого-нибудь для разработки и реализации вашей политики конфиденциальности (например, специалиста по соблюдению требований HIPAA, конфиденциальности или безопасности).
- Обеспечьте проведение ежегодного обучения HIPAA для всех сотрудников назначенным сотрудником по соблюдению требований HIPAA.
№ 7. Бизнес Ассоциации
Регулярно проверяйте, чтобы все деловые партнеры соблюдали законы HIPAA:
- Определите любых деловых партнеров, которые могут получать, отправлять, хранить, обрабатывать или иметь доступ к конфиденциальным записям ePHI.
- Убедитесь, что каждый деловой партнер подписал Соглашение о деловом партнерстве.
- Ежегодно проверяйте соответствие BAA и HIPAA.
- Создайте письменные документы, которые демонстрируют и документируют вашу должную осмотрительность в отношении потенциальных деловых партнеров.
№8. Контрольный список для уведомления о нарушении
Установите методы и процедуры реагирования на инциденты и нарушения безопасности:
- Ведение журнала и координация расследований случаев компрометации защиты PHI.
- Установите стандарты и рекомендации по смягчению последствий, а также дисциплинарные политики и процедуры в случае нарушения.
- Создайте метод для сообщения о нарушениях безопасности и других инцидентах, связанных с безопасностью.
- Установите политики для уведомления пациентов, OCR и СМИ о нарушениях безопасности (если применимо).
Формы соответствия HIPAA
Если вы собираете информацию о пациентах в Интернете без использования форм, отвечающих требованиям HIPAA, вы можете подвергнуться кибератаке или получить санкции и штрафы, связанные с HIPAA. В результате формы, соответствующие HIPAA, представляют собой заполняемые пользователем цифровые документы, которые содержат поля, текст и другие входные данные от пациентов для выполнения действий, управляемых данными.
Согласно правилам HIPAA, PHI определяется как любые данные, которые могут быть полезны для идентификации конкретного пациента в процессе медицинского обслуживания. Эти данные, однако, включают медицинские записи, заметки врача, переписку между пациентом и врачом, а также платежную и платежную информацию пациента. Таким образом, личная медицинская информация (PHI) — это любая информация о человеке, которую пациент вводит в цифровую форму. В результате вся информация внутри этой формы должна быть конфиденциальной и защищенной от несанкционированного доступа. Следовательно, несколько правил и руководств регулируют основные меры по обеспечению формы:
- Как указано в правиле безопасности HIPAA, форма должна быть защищена надлежащим образом. Это требует развертывания приемлемого, соответствующего программного обеспечения для шифрования и безопасности для защиты данных при передаче и хранении. В результате ваша форма должна защищать данные как локально, так и по сети других приложений.
- Устройство, используемое для отправки формы, должно иметь соответствующие технологические и физические средства защиты, такие как защита авторизации, шифрование и контроль доступа.
- Если форма предоставлена сторонним поставщиком программного обеспечения, CE должен заключить с поставщиком соглашение о деловом партнерстве (BAA), в котором будут изложены их и ваши соответствующие роли и обязанности.
Даже с этими мерами предосторожности форма может не соответствовать требованиям, если не используются надлежащие процедуры (такие как управление данными или использование устройств для сбора данных). Формы несоблюдения могут привести к нарушению PHI и подвергнуть вашу медицинскую компанию штрафу в размере до 50,000 XNUMX долларов США за каждый инцидент, а также перспективе тюремного заключения.
Поставщики форм, отвечающих требованиям HIPAA
Существуют поставщики форм соответствия HIPAA, которые также могут предоставить вам лучшие формы, необходимые для соответствия HIPAA. Ниже они.
№1. Формы Google Таблиц
Google Forms являются лучшими из-за их простоты, быстроты и простоты использования. Кроме того, они интегрируются с Google Cloud, в который входят Google Таблицы. Эта простая разработка формы по-прежнему обходится дорого, поскольку может исключать некоторые функции, предоставляемые другими специализированными поставщиками.
№ 2. Microsoft формы
Microsoft Forms — это программное приложение, позволяющее создавать формы. Они чрезвычайно мощные, хотя и довольно сложные в использовании. Его спонсируют облачные платформы Microsoft, такие как Azure, которые, как и остальные продукты Microsoft, соответствуют требованиям HIPAA. Однако, в зависимости от вашего уровня владения, формы могут быть немного неудобными.
№3. Формы стека
Formstack также является еще одним сервисом хорошей формы, ориентированным исключительно на эту функцию. Кроме того, Formstack позволяет CE создавать интеллектуальные, контекстно-зависимые списки и электронные подписи для форм пациентов, что является значительным преимуществом. Они сложны и полезны, но они не разделены на более крупную платформу, что требует дополнительного хранилища и поддержки интеграции.
№ 4. ДжотФорм
JotForm, еще один известный сервис форм, позволяет клиентам создавать формы, соответствующие требованиям HIPAA. Он имеет несколько удивительных особенностей, таких как процесс оплатыg и настраиваемые формы, но в нем отсутствуют некоторые важные, такие как контекстно-зависимое построение форм и варианты ветвления.
Что такое соответствие HIPAA?
В 1996 году в Соединенных Штатах был принят Закон о переносимости и подотчетности медицинского страхования (HIPAA) в качестве первого шага к умеренной реформе здравоохранения. Цель HIPAA также заключалась в реструктуризации отрасли здравоохранения за счет снижения затрат, устранения административных процессов и бремени, а также обеспечения конфиденциальности и безопасности пациентов. Таким образом, сегодня соответствие HIPAA в первую очередь указывает на конечную точку; тем самым защищая конфиденциальность и безопасность информации о здоровье людей. Они специализируются на поддержке частных лиц и малых и средних предприятий наиболее экономичным, быстрым и простым способом, чтобы соответствовать требованиям HIPAA.
Кто должен соответствовать требованиям HIPAA?
Любой, кто работает или связан с отраслью здравоохранения; или кто имеет доступ к защищенной медицинской информации, имеет право на это, и среди них есть следующие:
- Поставщики медицинских услуг
- Планы медицинского страхования сотрудников
- Поставщики медицинского страхования
- Информационные центры здравоохранения
- Деловые партнеры (любой, кто работает с любым из 4 вышеперечисленных)
Соответствие Zoom HIPAA
Важно понимать, что означает зум в данной ситуации. Zoom — это облачная технология видео- и веб-конференций, которая объединяет видеоконференцсвязь, чат и совместную работу на единой платформе. В результате при соблюдении требований HIPAA многие медицинские компании полагаются на Zoom для общения с коллегами и взаимодействия с пациентами, часто обмениваясь конфиденциальной медицинской информацией (PHI). Кроме того, поставщики облачных платформ, такие как Zoom, классифицируются как деловые партнеры, а это означает, что они должны соблюдать правила соответствия HIPAA, если они используют свою платформу для обмена PHI.
Zoom — это программное обеспечение для видеоконференций, соответствующее требованиям HIPAA, которое делает все возможное для защиты конфиденциальности PHI. Таким образом, существует два различных вида потребностей пользователя в аутентификации. Кроме того, соответствие Zoom HIPAA обеспечивает управление доступом, что позволяет провайдерам контролировать, кто имеет доступ к платформе.
В соответствии с HIPAA Zoom представляет собой сквозное шифрование, которое гарантирует, что все сообщения будут зашифрованы во время передачи и видны только отправителю или получателю. Текстовые сообщения и сеансы чата также шифруются. Таким образом, чтобы сделать автономные сообщения доступными, все стороны должны участвовать в обмене криптографическими ключами, что требует, чтобы все стороны обладали одним и тем же ключом для шифрования и расшифровки данных.
Zoom может быть жизнеспособной альтернативой, если вы ищете услугу видеоконференцсвязи, соответствующую требованиям HIPAA, что позволит вам более эффективно общаться со своими пациентами сегодня и в будущем.
Сертификация соответствия HIPAA
Таким образом, сертификация HIPAA означает, что вы прошли курс, предназначенный для обучения и обучения навыкам, необходимым для того, чтобы помочь вашей фирме или организации соответствовать требованиям HIPAA. Это также не означает, что вы соответствуете требованиям; скорее, это означает, что вы были обучены терминологии и применению Закона о переносимости и подотчетности медицинского страхования.
Сертификационное обучение HIPAA
Однако, чтобы получить сертификат HIPAA, вы должны записаться на сертификационный курс HIPAA. Предлагаются различные такие курсы, как онлайн, так и офлайн, но ни один из них не признан Министерством здравоохранения и социальных служб по состоянию на 2015 год. Онлайн-курсы чрезвычайно удобны, потому что их можно пройти на досуге. Таким образом, этот курс помогает в обучении специалистов, которые будут нести ответственность за различные аспекты соблюдения HIPAA в своих соответствующих медицинских учреждениях или организациях. Сертификационное обучение HIPAA важно не только для компаний, которые имеют дело непосредственно с HIPAA, но и для тех, кто сотрудничает с ними.
Как получить сертификат HIPAA
- Первым шагом к получению сертификата HIPAA является поиск подходящего курса сертификации HIPAA для лиц, которые будут его проходить. Хотя желательно записать всех сотрудников на такие курсы, если это невозможно из-за человеческих или финансовых ограничений, выберите сотрудников, которые могут быть обучены в качестве инструкторов.
- Когда профессиональная обучающая компания не может обучить всех ваших сотрудников, можно использовать метод «Обучение тренера».
- У вас должна быть политика HIPAA, сравнимая с вашей Политикой охраны труда и техники безопасности, а также хорошо написанная процедура, в соответствии с которой выбранные области проверяются ежемесячно или чаще, если это необходимо.
Все это было бы трудно реализовать на профессиональном уровне без профессионалов, сертифицированных HIPAA, которые также обучены реализации Закона.
Передача соответствия требованиям HIPAA
Однако любая организация, занимающаяся передачей файлов, содержащих защищенную медицинскую информацию, должна строго соблюдать правило безопасности HIPAA (PHI). Короче говоря, системы передачи файлов должны защищать конфиденциальность, целостность, а также доступность индивидуальных медицинских карт (PHI).
Меры предосторожности подразделяются в правиле безопасности на три категории: административные, физические и технологические меры предосторожности. Предприятия могут защищать данные и выполнять передачу файлов в соответствии с HIPAA, следуя этим рекомендациям:
- Предотвратите несанкционированный доступ к защищенной медицинской информации.
- Ведите журнал всех действий пользователей в системах, содержащих PHI.
- Обеспечьте наличие протоколов безопасности для защиты передаваемых данных от несанкционированного доступа.
- Отключите электронные сеансы после завершения передачи файлов.
- Любая передача PHI должна быть зашифрована.
- Продемонстрировать, что переданные данные не были изменены, взломаны или уничтожены без разрешения.
Целесообразно сотрудничать со специалистами по информационной безопасности, имеющими большой опыт разработки, установки, а также аудита решений в области информационных технологий, соответствующих HIPAA.
Что значит соответствовать требованиям HIPAA?
Соответствие HIPAA является золотым стандартом защиты конфиденциальных данных пациентов. Чтобы соответствовать HIPAA, фирмы, которые обрабатывают защищенную медицинскую информацию (PHI), должны внедрять и поддерживать меры физической, сетевой и процедурной безопасности.
Каковы три правила HIPAA?
Три правила, которые регулируют HIPAA:
- Правила конфиденциальности
- Правила безопасности
- Правила уведомления о нарушениях
Какова цель HIPAA?
Федеральный закон, известный как Закон о переносимости и подотчетности медицинского страхования от 1996 г. (HIPAA), предписывает разработку национальных стандартов для предотвращения раскрытия конфиденциальной информации о здоровье пациента без ведома или согласия пациента.
Как объяснить HIPAA пациенту?
Предоставление пациентам краткого изложения содержания Политики конфиденциальности — лучший способ объяснить пациентам HIPAA. Это будет включать всю соответствующую информацию. Например, скажите пациенту, что он имеет право запросить свои медицинские записи в любое время.
Каковы 2 основных компонента HIPAA?
Раздел I: Доступ к медицинскому обслуживанию, мобильность и продление. Защищает медицинское страхование в случае потери или смены работы. Включает покрытие ранее существовавших условий.
Включает покрытие ранее существовавших условий.
РАЗДЕЛ II: Административное упрощение
